SGI 공격 랜섬웨어, 피해자 목록서 SGI 제외 왜?

작성일 09-08

<div id="layerTranslateNotice" style="display:none;"></div> 보안업계 "몸값 지불했다" vs "해커가 거짓말한 것" 의견 분분 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="yPnarYbYgA">
 (지디넷코리아=김기찬 기자)SGI서울보증의 13.2테라바이트(TB) 규모의 데이터를 탈취했다고 주장한 랜섬웨어(Ransomware) 그룹 '건라(Gunra)'가 SGI서울보증을 피해자 목록에서 제외했다.
 8일 본지 취재를 종합하면 SGI서울보증의 13.2TB 규모의 오라클 데이터베이스(DB)를 탈취했다고 주장한 '건라'가 자신들의 다크웹 사이트에서 SGI서울보증 관련 게시글을 모두 내린 것으로 확인됐다.
 <figure class="figure_frm origin_fig" contents-hash="174eb0671663f83cbf1f5491eabf9ace12eb075e5fe1f8c9989027fb4cb8f69b" dmcf-pid="GMgAOX2Xka" dmcf-ptype="figure">
 <img alt="SGI서울보증을 공격했다고 주장하는 랜섬웨어 그룹 '건라' 다크웹에 SGI서울보증에 내한 내용이 완전히 삭제된 모습. (사진=다크웹 캡처)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/08/ZDNetKorea/20250908120340155kbfh.png" data-org-width="638" dmcf-mid="QifPnr5rjk" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/08/ZDNetKorea/20250908120340155kbfh.png" width="658">
 <figcaption class="txt_caption default_figure">
 SGI서울보증을 공격했다고 주장하는 랜섬웨어 그룹 '건라' 다크웹에 SGI서울보증에 내한 내용이 완전히 삭제된 모습. (사진=다크웹 캡처)
 </figcaption>
 </figure>
 앞서 지난 7월께 SGI서울보증은 건라의 랜섬웨어 공격으로 시스템이 마비되는 등의 피해를 입었다. 금융보안원이 암호키를 추출해 복구를 완료했으나, '건라'는 지난달 5일 13.2TB에 달하는 SGI서울보증의 오라클 데이터베이스를 탈취했다고 주장하며 대규모 데이터베이스에 대한 공개를 예고한 바 있다.
 다만 당시 건라는 "방대한 (SGI서울보증의)데이터를 보유하고 있지만, 이를 분석할 인력이 충분하지 않다"며 "원한다면 이 데이터베이스를 함께 분석하자"면서 데이터 분석 인력 부족을 이유로 구체적인 데이터를 공개하지 않았다.
 <figure class="figure_frm origin_fig" contents-hash="9ce9389c64673c6347580a60de1892768041df2c32f197ec1fec9a6b5c6ec536" dmcf-pid="ZdjEh141NL" dmcf-ptype="figure">
 <img alt="지난달 19일 랜섬웨어 그룹 '건라' 다크웹 사이트에 SGI서울보증 13.2TB 규모의 데이터를 탈취했고 곧 분석해 자료를 공개하겠다는 게시글이 업데이트됐다. (사진=건라 다크웹 캡처)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/08/ZDNetKorea/20250908120340391rrqu.png" data-org-width="640" dmcf-mid="x2fPnr5rNc" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/08/ZDNetKorea/20250908120340391rrqu.png" width="658">
 <figcaption class="txt_caption default_figure">
 지난달 19일 랜섬웨어 그룹 '건라' 다크웹 사이트에 SGI서울보증 13.2TB 규모의 데이터를 탈취했고 곧 분석해 자료를 공개하겠다는 게시글이 업데이트됐다. (사진=건라 다크웹 캡처)
 </figcaption>
 </figure>
 이후 지난달 19일께 건라는 SGI서울보증의 탈취한 13.2TB 규모의 데이터에 대해 분석을 시작하게 됐으며, 곧 모든 데이터를 공개하겠다고 밝힌 바 있다.
 그러나 이달 초 돌연 SGI서울보증을 피해자 목록에서 제외했다. 데이터 공개를 예고한 랜섬웨어 그룹이 피해자 목록에서 SGI서울보증이 제외된 것을 두고 보안업계 사이에서는 의견이 분분한 상황이다.
 랜섬웨어 공격 그룹들은 일반적으로 데이터를 탈취해 암호화한 뒤 이를 인질로 금전 등 '몸값'을 요구한다. 이후 '랜섬노트'(몸값 지불 경로 등을 담은 메모)를 피해 기업이 확인할 수 있도록 남겨놓는다. 그 다음에는 자신들의 다크웹 사이트에 피해자로 해당 기업을 등록시켜 놓고, 금전 지불 기한인 '데드라인'을 걸어 놓고 피해 기업을 압박한다. 데드라인까지 피해 기업이 몸값을 지불하지 않으면 실제로 데이터를 다크웹 사이트에 공개한다.
 이같은 랜섬웨어 그룹의 공격 동향상 피해 기업 목록에서 SGI서울보증이 제외된 것에 대해 몸값을 지불한 것이 아니냐는 의견도 나온다.
 익명을 요구한 보안 전문가는 "랜섬웨어 그룹이 피해자 목록에서 피해 기업을 내린 경우에는 랜섬웨어 그룹의 목적을 달성했기 때문으로 해석된다"며 "랜섬웨어 그룹들은 늘 금전을 요구하기 때문에 목록에서 제외된 피해 기업이 압박에 못이겨 랜섬웨어 그룹에 금전을 지불한 것으로 볼 수 있다"고 밝혔다. 이 전문가는 '건라'가 인력 부족으로 데이터 공객에 난항을 겪고 있던 만큼 데이터 분석을 포기한 것이 아니냐는 기자의 질문에 "그럴 가능성은 없다. 랜섬웨어 그룹은 끈질기게 금전을 요구하는데, 데이터 공개를 통해 실제 랜섬웨어 피해가 구체화되고 기업 이미지에 피해가 될 것을 우려하면서 금전을 지불한 것으로 보인다"고 해석했다.
 반면 '건라'가 13.2TB를 탈취했다는 주장 자체가 거짓일 수 있다는 의견도 나온다. 이별 CIS 대표는 "피해자 목록에서 제외했다고 해서 금액을 지불했다고 보기 어렵다. 구매자들이나 피해 기업의 반응이 미미한 경우에도 피해자 목록에서 내리는 경우가 있다"면서 "랜섬웨어 그룹이 데이터를 탈취했다며 허구성 협박을 했을 가능성이 있고, 진짜 데이터를 탈취했을 경우에는 내부에서만 확인 가능한 자료를 일부 같이 게시해 신뢰성을 높이는데 결국 '건라'는 그러지 않았다"고 설명했다.
 이어 이 대표는 "원인은 다양하게 있을 수 있다고 보는 게 정확하다"면서 "만약 샘플 자료도 없이 결국 피해 기업에서 제외했다면 거짓일 확률이 높다고 봐야한다"고 덧붙였다. 한편 건라의 13.2TB 데이터 탈취에 대해 SGI서울보증 측은 그동안 "확인된 바가 없다"는 입장이였는데 이번 피해자 목록 제외에 대해서도 "확인된 바 없다"며 "협상한 적이 없다"고 밝혔다. 
 김기찬 기자(71chan@zdnet.co.kr)
 </section> 
 </div> 
 Copyright © 지디넷코리아. 무단전재 및 재배포 금지.

이전

[스페이스버드]⑪ 발사체·위성 모두 보유한 한국 우주개발 이끄는 우주항공청

09-08
다음

'3연속 4강 도전' U20 대표팀, 월드컵 최종 명단 발표

09-08

등록된 댓글이 없습니다.

로그인한 회원만 댓글 등록이 가능합니다.

먹튀폴리스

SGI 공격 랜섬웨어, 피해자 목록서 SGI 제외 왜?

멤버랭킹

관련자료

멤버랭킹